Microsoft sagt: Patch Internet Explorer NOW!

Microsoft hat seinen bisher umfangreichsten Patch für Internet Explorer 5.5 SP2 und 6 veröffentlicht. Dieser neue Patch deckt alle alten Sicherheitsprobleme des problembehafteten Browsers ab, wurde aber erstellt, um einige neue Probleme zu beheben. Eines dieser Probleme wurde als kritische Sicherheitslücke erkannt und betrifft Benutzer des Internet Explorer 6.
Sie finden den Link zu diesen Patches, indem Sie auf die Registerkarte "Download" am oberen Rand dieser Seite klicken.

Die offizielle Beschreibung von Microsoft zu den Patches lautet wie folgt:

Es handelt sich um einen kumulativen Patch, der nach der Installation alle zuvor besprochenen Sicherheitslücken im IE 5.5 und IE 6 beseitigt. Darüber hinaus werden drei neu entdeckte Sicherheitslücken beseitigt.

Die erste Sicherheitslücke betrifft einen Fehler in der Behandlung der Header-Felder "Content-Disposition" und "Content-Type" in einem HTML-Stream. Diese Felder, die Hosting-URL und die Daten der gehosteten Datei bestimmen, wie eine Datei beim Herunterladen in Internet Explorer behandelt wird. Es besteht eine Sicherheitslücke, denn wenn ein Angreifer die HTML-Header-Informationen auf eine bestimmte Art und Weise verändert, könnte es möglich sein, den Internet Explorer glauben zu lassen, dass eine ausführbare Datei in Wirklichkeit ein anderer Dateityp ist - eine, die einfach geöffnet werden kann, ohne den Benutzer um Bestätigung zu bitten. Auf diese Weise könnte ein Angreifer eine Webseite oder HTML-Mail erstellen, die beim Öffnen automatisch eine ausführbare Datei auf dem System des Benutzers ausführt. Diese Sicherheitslücke betrifft nur IE 6.0. IE 5.5 ist davon nicht betroffen.
Bei der zweiten Sicherheitslücke handelt es sich um eine neu entdeckte Variante der Sicherheitslücke "Frame Domain Verification", die im Microsoft Security Bulletin MS01-015 beschrieben wird. Die Sicherheitsanfälligkeit könnte es einem böswilligen Website-Betreiber ermöglichen, zwei Browserfenster zu öffnen, eines in der Domäne der Website und das andere im lokalen Dateisystem des Benutzers, und Informationen von letzterem an ersteres weiterzuleiten. Dadurch könnte der Website-Betreiber jede Datei auf dem lokalen Computer des Benutzers, die in einem Browser-Fenster geöffnet werden könnte, lesen, aber nicht verändern. Diese Sicherheitslücke betrifft sowohl IE 5.5 als auch 6.0.
Die dritte Schwachstelle betrifft einen Fehler bei der Anzeige von Dateinamen im Dialogfeld "Dateidownload". Wenn ein Dateidownload gestartet wird, zeigt ein Dialogfeld den Namen der Datei an. In einigen Fällen wäre es jedoch für einen Angreifer möglich, den Namen der Datei in dem Dialogfeld falsch darzustellen. Dies könnte von einer Webseite oder in einer HTML-E-Mail aus geschehen, um Benutzer zu täuschen und unsichere Dateitypen aus einer vertrauenswürdigen Quelle zu akzeptieren. Diese Sicherheitslücke betrifft sowohl IE 5.5 als auch 6.0.